← Österreich

{'item': '2025-0.119.280'}

Obsah (9)Art. 15Art. 77Art. 4Art. 12Art. 5§ 14§ 24Art. 22Art. 46

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum27.10.2025 Geschäftszahl2025-0.119.280 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.119.280 vo

Art. 15

DSGVO wie folgt:Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Gerhard A*** (Beschwerdeführer), vertreten durch die B*** & C*** Rechtsanwälte GmbH, vom 12. August 2024 gegen die im Vereinigten Königreich Großbritannien und Nordirland ansässige N*** Games & Entertainment Europe Limited (Beschwerdegegnerin), vertreten durch die D*** & Partner Rechtsanwälte GmbH, wegen Verletzung im Recht auf Auskunft

Artikel 15, DSGVO wie folgt: 1.

Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer durch die Erteilung einer unvollständigen Auskunft hinsichtlich jener personenbezogenen Daten, die nicht über den N***-Game-Console-Benutzer-Account des Beschwerdeführers abrufbar sind, in seinen Rechten nach Art. 15 Abs. 1 lit. a, lit. b, lit. c, lit. d, lit. g und Abs. 2 DSGVO iVm. Art. 12 DSGVO verletzt hat.Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer durch die Erteilung einer unvollständigen Auskunft hinsichtlich jener personenbezogenen Daten, die nicht über den N***-Game-Console-Benutzer-Account des Beschwerdeführers abrufbar sind, in seinen Rechten nach Artikel 15, Absatz eins, Litera a,, Litera b,, Litera c,, Litera d,, Litera g und Absatz 2, DSGVO in Verbindung mit Artikel 12, DSGVO verletzt hat.

  1. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution dem Beschwerdeführer eine vollständige Auskunft im Sinne des Art. 15 Abs. 1 lit. a, lit. b, lit. c, lit. d, lit. g und Abs. 2 DSGVO über sämtliche personenbezogene Daten, welche nicht über den N***-Game-Console-Benutzer-Account ersichtlich sind, zu erteilen und eine Kopie dieser personenbezogenen Daten zur Verfügung zu stellen.Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution dem Beschwerdeführer eine vollständige Auskunft im Sinne des Artikel 15, Absatz eins, Litera a,, Litera b,, Litera c,, Litera d,, Litera g und Absatz 2, DSGVO über sämtliche personenbezogene Daten, welche nicht über den N***-Game-Console-Benutzer-Account ersichtlich sind, zu erteilen und eine Kopie dieser personenbezogenen Daten zur Verfügung zu stellen.
  2. Im Übrigen wird die Beschwerde als unbegründet abgewiesen. Rechtsgrundlagen: Art. 4, Art. 12, Art. 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 12,, Artikel 15,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f,, Artikel 58, Absatz 2, Litera c, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung (vgl. Hengstschläger/Leeb, AVG § 60 Rz 22 (Stand 1.3.2023, rdb.at)).Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung vergleiche Hengstschläger/Leeb, AVG Paragraph 60, Rz 22 (Stand 1.3.2023, rdb.at)). Das Verfahren wurde aufgrund einer Datenschutzbeschwerde von Gerhard A*** (Beschwerdeführer), vertreten durch B*** & C*** Rechtsanwälte GmbH, vom
  3. August 2024 gegen die N*** Games & Entertainment Europe Limited (Beschwerdegegnerin), vertreten durch D*** & Partner Rechtsanwälte GmbH, eingeleitet. Den Verfahrensparteien wurde im Zuge des Ermittlungsverfahrens die Möglichkeit eingeräumt, zum jeweils anderen Vorbringen Stellung zu nehmen. B. Beschwerdegegenstand Beschwerdegegenständlich stellt sich die Frage, ob die Beschwerdegegnerin den Beschwerdeführer in dessen Recht auf Auskunft

Art. 15DSGVO verletzt hat, indem diese seinen Auskunftsbegehren vom 13.

Februar 2024 nicht entsprochen hat.Beschwerdegegenständlich stellt sich die Frage, ob die Beschwerdegegnerin den Beschwerdeführer in dessen Recht auf Auskunft

Artikel 15, DSGVO verletzt hat, indem diese seinen Auskunftsbegehren vom 13.

Februar 2024 nicht entsprochen hat. C. Sachverhaltsfeststellungen

  1. Bei der Beschwerdegegnerin handelt es sich um eine Konzerntochtergesellschaft der N*** Games & Entertainment-Unternehmensgruppe, die das N***-Game-Console Network und den N***-Game-Console-Store betreibt. Die Beschwerdegegnerin ist eine Online-Händlerin, welche digitale Produkte und Services über den N***-Game-Console-Store auf Konsolen über die Website mit der URL <www.n***-game-console.com> und der N***-Game-Console Mobile-App verkauft. Beweiswürdigung: Diese Feststellungen ergeben sich zum einen aus den Ausführungen in der Stellungnahme vom
  2. September 2024 der vertretenen Beschwerdegegnerin, welche hinsichtlich Punkt 1 inhaltlich nicht von dem Beschwerdeführer bestritten worden sind, zum anderen aus der Datenschutzerklärung der Beschwerdegegnerin, abrufbar unter der URL <https://www.n***-game-console.com/de-de/legal/privacy-policy/> (zuletzt amtswegig abgerufen am
  3. September 2025).
  4. Bei der von der N*** Games & Entertainment-Unternehmensgruppe („NGE***“) hergestellten N***-Game-Console handelt es sich um eine stationäre Spielkonsole, welche über ein vorinstalliertes Betriebssystem verfügt und der/die jeweilige NutzerIn verschiedene Einstellungen vornehmen kann. Für die Nutzung der N***-Game-Console bzw. des Betriebssystems ist kein Spiel erforderlich. Nach dem Start der N***-Game-Console gelangt der Spieler in das Hauptmenü des Betriebssystems, wo es diesem - je nach Version der N***-Game-Console - möglich ist, den NG***-Store, welcher von der Beschwerdegegnerin betrieben wird, aufzurufen. In diesem vermarktet die Beschwerdegegnerin herunterladbare digitale Inhalte, welche von dem/der jeweiligen NutzerIn erworben werden können. Neben dem digitalen Erwerb eines „Computer-“Spieles ist es ebenfalls möglich, dieses auf einen physischen Datenträger („on-disc“) im Einzelhandel zu erwerben. Im NG***-Store können von dem/der NutzerIn neben Spielen auch andere digitale Produkte, bspw. Erweiterungen von Spielen oder auch „virtuelle Coins“ für ein bestimmtes Spiel, welche in diesem eingesetzt werden können, erworben werden. Beweiswürdigung: Diese Feststellungen beruhen auf der Stellungnahme vom
  5. September 2024 der vertretenen Beschwerdegegnerin sowie der amtswegigen Recherche vom
  6. September 2025 auf der Homepage der Beschwerdegegnerin, abrufbar unter der URL <https***://www.n***-game-console.com>. Die diesbezüglichen Ausführungen sind vom Beschwerdeführer auch während des laufenden Verfahrens nicht bestritten worden.
  7. Der Beschwerdeführer ist bei der Beschwerdegegnerin registriert, damit dieser die Spielkonsole N***-Game-Console benutzen kann, um digitale Produkte (z.B. Spiele) zu erwerben. Der Beschwerdeführer hat das Spiel mit der Bezeichnung ,,T***‘‘ erworben. Beim Hersteller des Spiels mit der Bezeichnung ,,T***‘‘ handelt es sich um das Unternehmen „W*** Games Corporation“. 3.
  8. Um sich im Ingame-Store des Spieles mit der Bezeichnung ,,T***‘‘ weitere digitale Güter (,,T***-Packs‘‘) kaufen zu können, hat der Beschwerdeführer echtes Geld über den N***-Game-Console-Store der Beschwerdegegnerin, über den die Zahlungsabwicklung umgeleitet wird, damit das Geld in digitaler Form im Ingame-Store des Spiels „T***“ gutgeschrieben wird, überwiesen. Nach der Zahlungsabwicklung wurde der Beschwerdeführer wieder vom N***-Game-Console-Store der Beschwerdegegnerin in den Ingame-Store des Spieles umgeleitet, wo diesem die erworbene digitale Währung in der Höhe der Einzahlung gutgeschrieben worden ist. 3.
  9. Der Aufbau des N***-Game-Console-Kontos gestaltet sich wie folgt: Im Benutzerkonto auf der Website mit der URL <https://www.n***-game-console.com/de-at/> der Beschwerdegegnerin werden auf der linken Seitenleiste verschiedene Kategorien angezeigt, darunter auch jene betreffend die Transaktionsdaten (vgl. Abbildung 1, Hervorhebung in der Farbe rot sowie Schwärzungen erfolgten amtswegig.).Im Benutzerkonto auf der Website mit der URL <https://www.n***-game-console.com/de-at/> der Beschwerdegegnerin werden auf der linken Seitenleiste verschiedene Kategorien angezeigt, darunter auch jene betreffend die Transaktionsdaten vergleiche Abbildung 1, Hervorhebung in der Farbe rot sowie Schwärzungen erfolgten amtswegig.). [Anmerkung Bearbeiter/in: Der im Original an dieser Stelle als Screenshot in einem grafischen Format dargestellte Ausschnitt aus dem Benutzerkonto des Beschwerdeführers wurde aus Pseudonymisierungsgründen entfernt.] 3.
  10. Der Beschwerdeführer kann über seinen Benutzer-Account auf den Transaktionsverlauf zugreifen. Beweiswürdigung zu den Punkten 3 bis 3.3.: Diese Feststellungen stützen sich auf die Stellungnahmen vom
  11. September 2024 und
  12. November 2024 der vertretenen Beschwerdegegnerin. Die Feststellung bezüglich des Aufbaus des N***-Game-Console-Accounts ergibt sich aus den amtswegigen Erhebungen vom
  13. Oktober
  14. Verfahrensgegenständlich wird von der Datenschutzbehörde nicht verkannt, dass die Darstellung des Benutzerkontos auf der Website von jener des über die Konsole abrufbaren N***-Game-Console-Store-Interfaces abweicht, jedoch wird in beiden Fällen der Transaktionsverlauf dargestellt. Zudem hat die Beschwerdegegnerin in ihrer Stellungnahme vom
  15. November 2024 nachvollziehbar dargelegt, dass es jedem Nutzer möglich ist, auf dessen Transaktionsverlauf zuzugreifen und diesen außerdem herunterzuladen. Diese grundsätzliche Möglichkeit ist vom Beschwerdeführer während des laufenden Ermittlungsverfahrens nicht bestritten worden.
  16. Der Beschwerdeführer hat am
  17. Februar 2024 durch seine anwaltliche Vertretung, die B*** & C*** Rechtsanwälte GmbH, der Beschwerdegegnerin per E-Mail an deren elektronische Zustelladresse <nge***e.dpo@n***.com> einen Antrag auf Auskunft, eine Kopie seines Führerscheins und eine unterschriebene anwaltliche Vollmacht gesendet. Screenshot des am
  18. Februar 2024 an die Beschwerdegegnerin gesendeten Auskunftbegehrens (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Screenshot in einem grafischen Format wiedergegebene E-Mail der Kanzlei der den Beschwerdeführer vertretenden Rechtsanwälte, der das unten inhaltlich wiedergegebene Auskunftsbegehren angeschlossen war, wurde aus Pseudonymisierungsgründen entfernt.] Screenshot des Auskunftsantrages vom
  19. Februar 2024 des Beschwerdeführers (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Das im Original an dieser Stelle als Faksimile in einem grafischen Format dargestellte Schreiben wurde in ein Textdokument umgewandelt und wird hier (unter Weglassung unwesentlicher Elemente wie Briefkopf, Anschrift, Unternehmenslogos etc.) pseudonymisiert wiedergegeben.] “A*** Gerhard / N*** Games & Entertainment Europe Limited | [*4/2*6*-4] Ihr Kunde/your customer: Gerhard A*** Sehr geehrte Damen und Herren, wir sind mit der rechtsfreundlichen Vertretung von Gerhard A***, geb. am **.**.198*, beauftragt und bevollmächtigt. Unser Mandant ist bei Ihnen Kunde. Im Auftrag und Namen unseres Mandanten fordern wir Sie hiermit auf, uns binnen 14 Tagen ● Transaktionslisten sämtlicher Accounts unseres Mandanten zukommen zu lassen, welche sämtliche tatsächlich durchgeführten Ein- und Auszahlungen (inkl. Durchführungsdatum) sowie die jeweils gespielten Spiele (Casino, Sportwetten, Poker, etc.) beinhalten inklusive einer verständlichen Erklärung der Liste; ● mitzuteilen wieviel Geld unser Mandant insgesamt gewonnen oder verloren hat; ● bekannt zu geben ob in den Gewinnen oder Verlusten unseres Mandanten Gewinne oder Verluste aufgrund von Sportwetten enthalten sind und falls ja, wie hoch die Gewinne oder Verluste aufgrund von Sportwetten sind; und ● bekannt zu geben mit welcher bzw. mit welchen Gesellschaften das Vertragsverhältnis zustande gekommen ist. Dieses Auskunftsbegehren betrifft alle von Ihnen und von Ihrem Konzern bzw. konzernmäßig verbundenen Unternehmen betriebenen Online-Casinos.“ Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus der verfahrenseinleitenden Eingabe vom
  20. August 2025 des vertretenen Beschwerdeführers sowie den darin enthaltenen Beilagen (insbesondere dem Antrag auf Auskunft vom
  21. Februar 2024).
  22. Die Beschwerdegegnerin verwies in der Beantwortung des Auskunftsantrages vom
  23. März 2024 den vertretenen Beschwerdeführer auf ihre Datenschutzerklärung und übermittelte im Anhang einen Auszug der Datenschutzrichtlinie. Der Übermittlung der Transaktionslisten, welche sämtliche tatsächlich durchgeführten Ein- und gegebenenfalls Auszahlungen (einschließlich Ausführungsdatum) sowie die jeweils gekauften Spiele oder Dienstleistungen (z. B. In-Game-Käufe usw.) beinhalten, ist die Beschwerdegegnerin hingegen nicht nachgekommen, weil sie davon ausgeht, dass der Beschwerdeführer eine zivilrechtliche Klage gegen sie einbringen wird. Screenshot der E-Mail vom
  24. März 2024 (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Das im Original an dieser Stelle als Faksimile in einem grafischen Format dargestellte Schreiben wurde in ein Textdokument umgewandelt und wird hier (unter Weglassung unwesentlicher Elemente wie Adressierung, Unternehmenslogos etc.) pseudonymisiert wiedergegeben.] RE: A*** Gerhard / N*** Games & Entertainment Europe Limited | [*4/2*6*-4] [*5*33*77*] […] Dear Mr L***, Thank you for your correspondence. We note that you have been instructed by your client, Mr Gerhard A***, and request information pursuant to Article 15 GDPR in relation to his use of his account for N***-Game-Console Network. In response to your request for information on who N*** Games & Entertainment Europe Limited (“NGE***EL”) disclose personal data, please find attached our privacy notice. This explains how NGE***EL collects, uses, shares, and retains personal data. We note that you also request a request of ● Transaction lists of all accounts of your client, which contain all actually executed deposits and, if applicable, withdrawals (incl. date of execution) as well as the respective purchased games or services (e.g., in-game purchases, etc.) including a comprehensible explanation; and ● The information how much money our client has won or lost in total; ● The information whether our client’s winnings or losses include winnings or losses due to sports betting and if so, how much of the winnings or losses are due to sports betting; Please note, we are not providing a copy of your client’s transaction information, as we understand that the reason you are requesting this data does not relate to the protection of personal data, but rather to pursue a civil claim against NGE***EL. According to applicable law and court practice, NGE***EL is not required to disclose such information. Further, please note that NGE***EL cannot identify the items purchased by your client within a game’s in-game store. Yours sincerely Data Protection Office Legal & Public Policy N*** Games & Entertainment Europe Limited” Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der verfahrenseinleitenden Eingabe vom
  25. August 2025 des vertretenen Beschwerdeführers sowie den darin enthaltenen Beilagen (insbesondere der E-Mail der Beschwerdegegnerin vom
  26. März 2024).
  27. Die Beschwerdegegnerin hat während des laufenden Verfahrens vor der Datenschutzbehörde darauf hingewiesen, dass der Beschwerdeführer über dessen N***-Game-Console-Account seine Erwerbsvorgänge („Transaktionsverlauf“) ohnehin einsehen und herunterladen kann. Zudem hat der Beschwerdeführer über seinen Account Zugriff auf weitere Daten, u.a. Daten zu den Geräten, die er in seinem Konto aktiviert hat, seine Kontodaten sowie eine Aufstellung der von ihm gespielten Spiele und seine aktiven Abonnements. Beweiswürdigung: Die getroffenen Feststellungen stützen sich auf die Stellungnahme vom
  28. November 2024 der Beschwerdegegnerin. Der vertretene Beschwerdeführer hat die Ausführungen der Beschwerdegegnerin insofern nicht bestritten, dass dieser über seinen N***-Game-Console-Account Zugriff auf die dort ersichtlichen Daten, u.a. den Transaktionsverlauf, hat. D. In rechtlicher Hinsicht folgt daraus: D.
  29. Allgemein

Art. 77Abs.

1 DSGVO bzw. § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass eine Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. gegen § 1 des ersten Hauptstückes des DSG verstößt.

Artikel 77, Absatz eins, DSGVO bzw.

Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass eine Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. gegen Paragraph eins, des ersten Hauptstückes des DSG verstößt.

Art. 4

Z 7 DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Unstrittig handelt es sich im gegenständlichen Fall bei der Beschwerdegegnerin um die Verantwortliche. Bei gespeicherten Daten des Beschwerdeführers handelt es sich um dessen personenbezogene Daten

Art. 4

Z 1 DSGVO.

Artikel 4

, Ziffer 7, DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Unstrittig handelt es sich im gegenständlichen Fall bei der Beschwerdegegnerin um die Verantwortliche. Bei gespeicherten Daten des Beschwerdeführers handelt es sich um dessen personenbezogene Daten

Artikel 4, Ziffer eins, DSGVO.

D.

  1. Prüfgegenstand In der verfahrenseinleitenden Eingabe vom
  2. August 2024 brachte der anwaltlich vertretene Beschwerdeführer vor, dass die Beschwerdegegnerin gegen das Recht auf Auskunft

Art. 15DSGVO verstoßen hat, indem sie seinem Auskunftsantrag vom 13.

Februar 2024 nicht entsprochen hat.In der verfahrenseinleitenden Eingabe vom 12. August 2024 brachte der anwaltlich vertretene Beschwerdeführer vor, dass die Beschwerdegegnerin gegen das Recht auf Auskunft

Artikel 15, DSGVO verstoßen hat, indem sie seinem Auskunftsantrag vom 13.

Februar 2024 nicht entsprochen hat. D.3. Recht auf Auskunft

Art. 15DSGVOD.3.

Recht auf Auskunft

Artikel 15

, DSGVO Eine betroffene Person hat

Art. 15

DSGVO das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, hat die betroffene Person auch das Recht auf Auskunft über diese personenbezogenen Daten und über die in Art. 15 Abs. 1 lit. a bis h leg. cit. angeführten Informationen, ferner gegebenenfalls zusätzlich über die Informationen

Abs. 2 der Bestimmung. Des Weiteren hat der Verantwortliche

Art. 15Abs.

3 leg. cit. einer betroffenen Person Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.Eine betroffene Person hat

Artikel 15

, DSGVO das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, hat die betroffene Person auch das Recht auf Auskunft über diese personenbezogenen Daten und über die in Artikel 15, Absatz eins, Litera a, bis h leg. cit. angeführten Informationen, ferner gegebenenfalls zusätzlich über die Informationen

Absatz 2, der Bestimmung. Des Weiteren hat der Verantwortliche

Artikel 15, Absatz 3, leg.

cit. einer betroffenen Person Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Das Auskunftsrecht

Art. 15

DSGVO dient dabei als Instrument, welches einer betroffenen Person ermöglicht, sich der Verarbeitung durch einen Verantwortlichen bewusst zu werden und die Rechtmäßigkeit der Verarbeitung zu überprüfen (vgl. ErwGr 63 erster Satz DSGVO). Mit anderen Worten ermöglicht das Auskunftsrecht der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung (vgl. Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung, Art. 15, Rz. 3).Das Auskunftsrecht

Artikel 15

, DSGVO dient dabei als Instrument, welches einer betroffenen Person ermöglicht, sich der Verarbeitung durch einen Verantwortlichen bewusst zu werden und die Rechtmäßigkeit der Verarbeitung zu überprüfen vergleiche ErwGr 63 erster Satz DSGVO). Mit anderen Worten ermöglicht das Auskunftsrecht der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung vergleiche Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung, Artikel 15,, Rz. 3). Art. 15 Abs. 3 DSGVO definiert die praktischen Modalitäten für die Erfüllung des Auskunftsrechts, indem er unter anderem in Satz 1 die Form festlegt, in der die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen sind, nämlich in Form einer „Kopie“ (vgl. EuGH

  1. Mai 2023, C-487/21 [Österreichische Datenschutzbehörde], Rz 31).Artikel 15, Absatz 3, DSGVO definiert die praktischen Modalitäten für die Erfüllung des Auskunftsrechts, indem er unter anderem in Satz 1 die Form festlegt, in der die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen sind, nämlich in Form einer „Kopie“ vergleiche EuGH
  2. Mai 2023, C-487/21 [Österreichische Datenschutzbehörde], Rz 31). Unabhängig von der Auslegung des Art. 15 Abs. 3 DSGVO, wonach der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen ist, ist hierzu auszuführen, dass sich der Auskunftsanspruch nach dem Wortlaut des Art. 15 Abs. 1 leg. cit nur auf vorhandene Daten („personenbezogene Daten, die der Verantwortliche verarbeitet“ und nicht: „verarbeitet hat“) bezieht (vgl. Bescheid der Datenschutzbehörde vom
  3. April 2021, D124.2137, 2021-0.110.476). Maßgeblich für den konkreten Inhalt der Auskunftserteilung ist somit der Zeitpunkt der Antragstellung (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO (Stand 1.12.2020, rdb.at)).Unabhängig von der Auslegung des Artikel 15, Absatz 3, DSGVO, wonach der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen ist, ist hierzu auszuführen, dass sich der Auskunftsanspruch nach dem Wortlaut des Artikel 15, Absatz eins, leg. cit nur auf vorhandene Daten („personenbezogene Daten, die der Verantwortliche verarbeitet“ und nicht: „verarbeitet hat“) bezieht vergleiche Bescheid der Datenschutzbehörde vom
  4. April 2021, D124.2137, 2021-0.110.476). Maßgeblich für den konkreten Inhalt der Auskunftserteilung ist somit der Zeitpunkt der Antragstellung vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 15, DSGVO (Stand 1.12.2020, rdb.at)). Als formale Voraussetzung für die Geltendmachung des Betroffenenrechts Recht auf Auskunft

Art. 15

DSGVO bedarf es a limine zunächst der Stellung eines Antrages an die Beschwerdegegnerin. Das bedeutet, dass der Betroffene zur Geltendmachung dieser Rechte zunächst einen entsprechenden Antrag an den Verantwortlichen richten muss (vgl. hierzu insbesondere Art. 12 Abs. 2, Abs. 3 und Abs. 4 DSGVO). Erst wenn der Antragsgegner dem jeweiligen Begehren der betroffenen Person nicht oder nicht vollinhaltlich entspricht, steht dem Betroffenen der Beschwerdeweg an die Datenschutzbehörde offen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz, § 24, Rz. 59). Der Umfang der Auskunftserteilung wird daher durch den Zeitpunkt der Antragstellung bestimmt (vgl. Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 27 (Stand 1.12.2021, rdb.at, auch Bäcker in Kühling/Buchner, DS-GVO/BDSG3 Art 15 Rz 8a; so auch Jahnel in Jahnel, DSGVO Art 15 Rz 19).Als formale Voraussetzung für die Geltendmachung des Betroffenenrechts Recht auf Auskunft

Artikel 15

, DSGVO bedarf es a limine zunächst der Stellung eines Antrages an die Beschwerdegegnerin. Das bedeutet, dass der Betroffene zur Geltendmachung dieser Rechte zunächst einen entsprechenden Antrag an den Verantwortlichen richten muss vergleiche hierzu insbesondere Artikel 12, Absatz 2,, Absatz 3 und Absatz 4, DSGVO). Erst wenn der Antragsgegner dem jeweiligen Begehren der betroffenen Person nicht oder nicht vollinhaltlich entspricht, steht dem Betroffenen der Beschwerdeweg an die Datenschutzbehörde offen vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz, Paragraph 24,, Rz. 59). Der Umfang der Auskunftserteilung wird daher durch den Zeitpunkt der Antragstellung bestimmt vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 27 (Stand 1.12.2021, rdb.at, auch Bäcker in Kühling/Buchner, DS-GVO/BDSG3 Artikel 15, Rz 8a; so auch Jahnel in Jahnel, DSGVO Artikel 15, Rz 19). D.4 In der Sache D.4.1. Zu den Einwendungen der Beschwerdegegnerin Zum Einwand der Beschwerdegegnerin, dass es sich bei dem verfahrensgegenständlichen Auskunftsersuchen vom 13. Februar 2024 des Beschwerdeführers um einen rechtsmissbräuchlichen Antrag

Art. 12Abs.

5 DSGVO handelt (vgl. Stellungnahmen vom

  1. September 2024 sowie
  2. November 2024 der Beschwerdegegnerin), weil das wahre beabsichtigte Ziel des Auskunftsbegehrens auf einen datenschutzfremden Zweck gerichtet ist, nämlich zur Beweismittelerlangung für eine zivilrechtliche „Spielerklage“, ist wie folgt auszuführen:Zum Einwand der Beschwerdegegnerin, dass es sich bei dem verfahrensgegenständlichen Auskunftsersuchen vom
  3. Februar 2024 des Beschwerdeführers um einen rechtsmissbräuchlichen Antrag

Artikel 12, Absatz 5, DSGVO handelt vergleiche Stellungnahmen vom 20.

September 2024 sowie

  1. November 2024 der Beschwerdegegnerin), weil das wahre beabsichtigte Ziel des Auskunftsbegehrens auf einen datenschutzfremden Zweck gerichtet ist, nämlich zur Beweismittelerlangung für eine zivilrechtliche „Spielerklage“, ist wie folgt auszuführen: Einleitend ist festzuhalten, dass der EuGH bereits in der Rechtssache C-307/22 vom
  2. Oktober 2023 unter Rz 43 ausgesprochen hat, dass „die betroffene Person nicht verpflichtet ist, den Antrag auf Auskunft über die Daten zu begründen, somit kann der erste Satz des
  3. Erwägungsgrundes nicht dahingehend ausgelegt werden, dass ein Antrag zurückzuweisen ist, wenn mit ihm ein anderer Zweck verfolgt wird als der, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen.“ Ein missbräuchliches Verhalten hieraus ist - entgegen dem Vorbringen der Beschwerdegegnerin - nicht ableitbar. Ohne die Übermittlung der beschwerdegegenständlichen Auskünfte ist es dem Beschwerdeführer verwehrt, zu prüfen, ob bei der durchgeführten Datenverarbeitung die Grundsätze

Art. 5, insbesondere Art.

5 Abs. 1 lit. a (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz) DSGVO eingehalten worden sind. Das Motiv, in weiterer Folge eine zivilrechtliche Klage einzubringen, ist zudem keineswegs unlauter. Dem Beschwerdeführer steht es selbstverständlich frei, nach eingehender Prüfung seiner Daten etwaige rechtliche Schritte einzuleiten, wenn er vermeintliche Unrechtmäßigkeiten festgestellt hat. Auch die DSGVO bietet keinen Anhaltspunkt dafür, dass das Auskunftsrecht zwecks Stärkung der eigenen Position in einem Rechtsstreit verweigert werden dürfe (vgl. OLG Wien 14 R 48/24t). Die Datenschutzbehörde verweist diesbezüglich auch auf die Leitlinien 01/2022 des Europäischen Datenschutzausschusses zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1, in welchen unter Rz 189 dezidiert ausgeführt wird, dass „ein Antrag nicht als exzessiv angesehen werden kann, wenn die betroffene Person beabsichtigt, die Daten zur Geltendmachung weiterer Forderungen gegenüber dem Verantwortlichen zu verwenden.“Ein missbräuchliches Verhalten hieraus ist - entgegen dem Vorbringen der Beschwerdegegnerin - nicht ableitbar. Ohne die Übermittlung der beschwerdegegenständlichen Auskünfte ist es dem Beschwerdeführer verwehrt, zu prüfen, ob bei der durchgeführten Datenverarbeitung die Grundsätze

Artikel 5

,, insbesondere Artikel 5, Absatz eins, Litera a, (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz) DSGVO eingehalten worden sind. Das Motiv, in weiterer Folge eine zivilrechtliche Klage einzubringen, ist zudem keineswegs unlauter. Dem Beschwerdeführer steht es selbstverständlich frei, nach eingehender Prüfung seiner Daten etwaige rechtliche Schritte einzuleiten, wenn er vermeintliche Unrechtmäßigkeiten festgestellt hat. Auch die DSGVO bietet keinen Anhaltspunkt dafür, dass das Auskunftsrecht zwecks Stärkung der eigenen Position in einem Rechtsstreit verweigert werden dürfe vergleiche OLG Wien 14 R 48/24t). Die Datenschutzbehörde verweist diesbezüglich auch auf die Leitlinien 01 aus 2022, des Europäischen Datenschutzausschusses zu den Rechten der betroffenen Person - Auskunftsrecht, Version 2.1, in welchen unter Rz 189 dezidiert ausgeführt wird, dass „ein Antrag nicht als exzessiv angesehen werden kann, wenn die betroffene Person beabsichtigt, die Daten zur Geltendmachung weiterer Forderungen gegenüber dem Verantwortlichen zu verwenden.“ Der EuGH hat in seiner Entscheidung vom

  1. Oktober 2023 in der Rechtssache C-307/22 unter Rz 73 ausgeführt: „Schließlich hat, was die mit Art. 15 DSGVO verfolgten Ziele angeht, die DSGVO den Zweck, die Rechte der betroffenen Personen zu stärken und präzise festzulegen. Somit muss es der betroffenen Person durch die Ausübung des in dieser Bestimmung vorgesehenen Auskunftsrechts nicht nur ermöglicht werden, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch ob sie in zulässiger Weise verarbeitet werden. Ferner muss die vom Verantwortlichen nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung zu stellende Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte aus dieser Verordnung wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben (Urteil vom
  2. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 33, 34 und 39).“Der EuGH hat in seiner Entscheidung vom
  3. Oktober 2023 in der Rechtssache C-307/22 unter Rz 73 ausgeführt: „Schließlich hat, was die mit Artikel 15, DSGVO verfolgten Ziele angeht, die DSGVO den Zweck, die Rechte der betroffenen Personen zu stärken und präzise festzulegen. Somit muss es der betroffenen Person durch die Ausübung des in dieser Bestimmung vorgesehenen Auskunftsrechts nicht nur ermöglicht werden, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch ob sie in zulässiger Weise verarbeitet werden. Ferner muss die vom Verantwortlichen nach Artikel 15, Absatz 3, Satz 1 DSGVO zur Verfügung zu stellende Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte aus dieser Verordnung wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben (Urteil vom
  4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 33, 34 und 39).“ Ziel der Datenschutzgrundverordnung ist es unter anderem, wie es sich aus dem zehnten und elften Erwägungsgrund ergibt, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten (vgl. Urteil vom
  5. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18, C-520/18, EU:C:2020:791, Rn. 207, C-154/21 vom
  6. Jänner 2023, C-307/22 vom
  7. Oktober 2023 Rn. 47 bzw. zuletzt C-416/23 vom
  8. Jänner 2025 Rn. 38).Ziel der Datenschutzgrundverordnung ist es unter anderem, wie es sich aus dem zehnten und elften Erwägungsgrund ergibt, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten vergleiche Urteil vom
  9. Oktober 2020, La Quadrature du Net u. a., C-511/18, C-512/18, C-520/18, EU:C:2020:791, Rn. 207, C-154/21 vom
  10. Jänner 2023, C-307/22 vom
  11. Oktober 2023 Rn. 47 bzw. zuletzt C-416/23 vom
  12. Jänner 2025 Rn. 38). Die gegenständliche Nichterteilung der verfahrensgegenständlichen Auskunft stellt im Lichte der obigen Ausführungen eine Schwächung der Rechte der betroffenen Person - gegenständlich des Beschwerdeführers - dar und entspricht auch nicht dem zehnten Erwägungsgrund. Die Datenschutzbehörde merkt bezüglich der Rechtssache C-307/22 vom
  13. Oktober 2023 an, dass der Anlassfall derart gestaltet gewesen ist, dass ein Patient einen Auskunftsantrag an seinen behandelten Arzt gestellt hat, um gegen diesen zivilrechtlich vorgehen zu können und der EuGH entschieden hat, dass dem Patienten die Auskünfte in transparenter Art und Weise in Form der Patientenakte zu erteilen sind, auch wenn die betroffene Person andere Zwecke als datenschutzrechtliche verfolgt. Die Überlegungen des EuGH in seiner zuvor zitierten Entscheidung können somit unmittelbar auf den vorliegenden Sachverhalt übertragen werden. Ferner ist zum beschwerdegegenständlichen Sachverhalt auszuführen, dass das Oberlandesgericht Wien in seiner Entscheidung vom
  14. Juni 2024 zu GZ 14 R 48/24t in einem gleichgelagerten Fall zum selben Ergebnis gelangt ist. Konkret hat ein österreichischer Kläger gegen ein Unternehmen, welches „Casino-Spiele“ anbietet, einen Antrag auf Auskunft gestellt. Sowohl das LG (vgl. Entscheidung vom
  15. März 2024, 60 Cg 77/23v-13) als auch das OLG gaben dem Auskunftsanspruch, welcher auf die vollständige Aufstellung sämtlicher Gewinne und Verluste gerichtet gewesen ist, statt. Bei der oben angeführten Judikatur des OLG Wien handelt es sich nicht bloß um eine Entscheidung im Einzelfall, sondern spiegelt diese vielmehr eine gefestigte Rechtsprechungslinie wider (vgl. OLG Wien vom
  16. Februar 2025 zu GZ 16 R 161/24z, Rz 2.3 bzw. OLG zu GZ 11 R 6/24v).Ferner ist zum beschwerdegegenständlichen Sachverhalt auszuführen, dass das Oberlandesgericht Wien in seiner Entscheidung vom
  17. Juni 2024 zu GZ 14 R 48/24t in einem gleichgelagerten Fall zum selben Ergebnis gelangt ist. Konkret hat ein österreichischer Kläger gegen ein Unternehmen, welches „Casino-Spiele“ anbietet, einen Antrag auf Auskunft gestellt. Sowohl das LG vergleiche Entscheidung vom
  18. März 2024, 60 Cg 77/23v-13) als auch das OLG gaben dem Auskunftsanspruch, welcher auf die vollständige Aufstellung sämtlicher Gewinne und Verluste gerichtet gewesen ist, statt. Bei der oben angeführten Judikatur des OLG Wien handelt es sich nicht bloß um eine Entscheidung im Einzelfall, sondern spiegelt diese vielmehr eine gefestigte Rechtsprechungslinie wider vergleiche OLG Wien vom
  19. Februar 2025 zu GZ 16 R 161/24z, Rz 2.3 bzw. OLG zu GZ 11 R 6/24v). Die Beschwerdegegnerin hat dem Beschwerdeführer somit eine Auskunft

Art. 15

DSGVO zu erteilen und hierbei die Modalitäten derart zu gestalten, dass für den Beschwerdeführer die Kontextualisierung der verarbeiteten personenbezogenen Daten bzw. die Verständlichkeit der Information in transparenter und nachvollziehbarer Art und Weise erfolgt (vgl. Urteil des EuGH vom

  1. Mai 2023, C-487/21, Rn 41; sowie die Schlussanträge des GA Pitruzella vom
  2. Dezember 2022 zu C-487/21, Rn 57 und 58). Der EuGH führt in seiner Entscheidung vom
  3. Mai 2023, konkret in Rz 41 und Rz 42, aus, dass, um zu gewährleisten, dass die so bereitgestellten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 in Verbindung mit dem
  4. Erwägungsgrund der DSGVO verlangt und wie der Generalanwalt in den Nrn. 57 und 58 seiner Schlussanträge dargelegt hat, sich nämlich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten. Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, d. h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann.“Die Beschwerdegegnerin hat dem Beschwerdeführer somit eine Auskunft

Artikel 15

, DSGVO zu erteilen und hierbei die Modalitäten derart zu gestalten, dass für den Beschwerdeführer die Kontextualisierung der verarbeiteten personenbezogenen Daten bzw. die Verständlichkeit der Information in transparenter und nachvollziehbarer Art und Weise erfolgt vergleiche Urteil des EuGH vom

  1. Mai 2023, C-487/21, Rn 41; sowie die Schlussanträge des GA Pitruzella vom
  2. Dezember 2022 zu C-487/21, Rn 57 und 58). Der EuGH führt in seiner Entscheidung vom
  3. Mai 2023, konkret in Rz 41 und Rz 42, aus, dass, um zu gewährleisten, dass die so bereitgestellten Informationen leicht verständlich sind, wie es Artikel 12, Absatz eins, in Verbindung mit dem
  4. Erwägungsgrund der DSGVO verlangt und wie der Generalanwalt in den Nrn. 57 und 58 seiner Schlussanträge dargelegt hat, sich nämlich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten. Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, d. h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann.“ Die Datenschutzbehörde hält fest, dass - entgegen dem Vorbringen der Beschwerdegegnerin - im Lichte der obigen Judikatur sowie Rechtsprechung der Beschwerdeführer jedenfalls unabhängig von dessen Beweggrund das Recht auf eine vollständige Auskunft

Art. 15

DSGVO hat.Die Datenschutzbehörde hält fest, dass - entgegen dem Vorbringen der Beschwerdegegnerin - im Lichte der obigen Judikatur sowie Rechtsprechung der Beschwerdeführer jedenfalls unabhängig von dessen Beweggrund das Recht auf eine vollständige Auskunft

Artikel 15, DSGVO hat.

Im gegenständlichen Fall wird nicht verkannt, dass die Beschwerdegegnerin dem Beschwerdeführer einen Auszug aus den Datenschutzrichtlinien (vgl. Beantwortung des Auskunftsbegehrens vom

  1. März 2024 durch die Beschwerdegegnerin bzw. Punkt 5 der Feststellungen) zukommen hat lassen und ihn auch darüber informierte, dass dieser per Fernzugriff die Transaktionsdaten über dessen Nutzerkonto einsehen kann (vgl. unter anderem Stellungnahme vom
  2. Februar 2025 der Beschwerdegegnerin).Im gegenständlichen Fall wird nicht verkannt, dass die Beschwerdegegnerin dem Beschwerdeführer einen Auszug aus den Datenschutzrichtlinien vergleiche Beantwortung des Auskunftsbegehrens vom
  3. März 2024 durch die Beschwerdegegnerin bzw. Punkt 5 der Feststellungen) zukommen hat lassen und ihn auch darüber informierte, dass dieser per Fernzugriff die Transaktionsdaten über dessen Nutzerkonto einsehen kann vergleiche unter anderem Stellungnahme vom
  4. Februar 2025 der Beschwerdegegnerin). In rechtlicher Hinsicht ist hierzu Folgendes auszuführen: D.4.
  5. Zu den Transaktionsdaten Am
  6. Februar 2024 richtete der Beschwerdeführer durch seine anwaltliche Vertretung - wie unter Punkt 4 der Feststellungen dargelegt - an die Beschwerdegegnerin an deren elektronische Zustelladresse einen Antrag auf Auskunft

Art. 15

DSGVO, welcher auf die Zurverfügungstellung der Transaktionslisten des N***-Game-Console-Accounts des Beschwerdeführers bezüglich der Ein- und Auszahlungen eingeschränkt gewesen ist. Die Beschwerdegegnerin hat dem Antrag des Beschwerdeführers vor dessen Einbringung der Beschwerde bei der Datenschutzbehörde am

  1. August 2024 nicht entsprochen und keine Transaktionslisten im Rahmen der Beantwortung des Auskunftsantrages am
  2. März 2024 übermittelt.Am
  3. Februar 2024 richtete der Beschwerdeführer durch seine anwaltliche Vertretung - wie unter Punkt 4 der Feststellungen dargelegt - an die Beschwerdegegnerin an deren elektronische Zustelladresse einen Antrag auf Auskunft

Artikel 15

, DSGVO, welcher auf die Zurverfügungstellung der Transaktionslisten des N***-Game-Console-Accounts des Beschwerdeführers bezüglich der Ein- und Auszahlungen eingeschränkt gewesen ist. Die Beschwerdegegnerin hat dem Antrag des Beschwerdeführers vor dessen Einbringung der Beschwerde bei der Datenschutzbehörde am

  1. August 2024 nicht entsprochen und keine Transaktionslisten im Rahmen der Beantwortung des Auskunftsantrages am
  2. März 2024 übermittelt. Im Rahmen des Ermittlungsverfahrens brachte die Beschwerdegegnerin mit Stellungnahme vom
  3. November 2025 unter 4.
  4. vor, dass es den Nutzern, u.a. dem Beschwerdeführer, möglich sei, jederzeit und ohne Kosten die beschwerdegegenständlichen Transaktionsdaten über deren N***-Game-Console-Account einzusehen. Die Beschwerdegegnerin wurde mit der Erledigung vom
  5. November 2024 nochmals aufgefordert, dezidiert zu beantworten, ob dem Beschwerdeführer die Möglichkeit eingeräumt worden ist, über sein NG***N-Nutzerkonto seine personenbezogenen Daten hinsichtlich dessen Erwerbsvorgänge (unter anderem Transaktionsverlauf, Abonnements) aufzurufen. In ihrer Stellungnahme vom
  6. November 2024 bestätigte die Beschwerdegegnerin, dass es dem Beschwerdeführer möglich war bzw. ist, dessen Erwerbsvorgänge einzusehen und herunterzuladen. Der Beschwerdeführer hat während des laufenden Verfahrens weder bestritten, dass er keinen Zugriff auf dessen N***-Game-Console-Account hat, noch dass die dort aufgelisteten Transaktionsdaten unvollständig sind. Der Beschwerdeführer verwies vielmehr im Rahmen seiner abschließenden Stellungnahme darauf, dass

der Entscheidung des VwGH vom 26. September 2022 zu Ro 2020/04/0034 der Beschwerdegegnerin als Verantwortliche

Art. 4

Z 7 DSGVO die Möglichkeit gegeben wurde, die Daten ebenfalls per Fernzugriff dem Beschwerdeführer zur Verfügung zu stellen.Der Beschwerdeführer hat während des laufenden Verfahrens weder bestritten, dass er keinen Zugriff auf dessen N***-Game-Console-Account hat, noch dass die dort aufgelisteten Transaktionsdaten unvollständig sind. Der Beschwerdeführer verwies vielmehr im Rahmen seiner abschließenden Stellungnahme darauf, dass

der Entscheidung des VwGH vom 26. September 2022 zu Ro 2020/04/0034 der Beschwerdegegnerin als Verantwortliche

Artikel 4

, Ziffer 7, DSGVO die Möglichkeit gegeben wurde, die Daten ebenfalls per Fernzugriff dem Beschwerdeführer zur Verfügung zu stellen. Die Datenschutzbehörde verweist zunächst auf den Erwägungsgrund 63 Satz 4 zur DSGVO, aus welchem hervorgeht, dass nach Möglichkeit der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen sollte, sodass der betroffenen Person der direkte Zugang zu ihren personenbezogenen Daten ermöglicht wird. Ehmann in Ehmann/Selmayr führt hierzu im Kommentar zur Datenschutzgrundverordnung, Art. 15 DSGVO, Rz 69, aus, dass die Einrichtung eines Fernzugriffs für die betroffene Person (gegenständlich Beschwerdeführer) als jene Gestaltung anzusehen ist, welche dem Interesse der betroffenen Person am meisten entgegenkommt. Hieraus ergibt sich keine Verpflichtung (vgl. Bäcker in Kühling/Buchner Kommentar zur DSGVO,

  1. Auflage, Art. 15 DSGVO, Rz 44d), dennoch wird dem Verantwortlichen die Möglichkeit der Einrichtung eines Fernzugriffs eingeräumt (vgl. Paal in Paal/Pauly Kommentar zur DSGVO,
  2. Auflage, Art. 15 Rz 14). Auch geht aus den Leitlinien 01/2022 zu den Rechten der betroffenen Person (Auskunftsrecht), Version 2.0, angenommen am
  3. März 2023, Rz 133 hervor, dass es unter bestimmten Umständen geeignet sein kann, eine Auskunft ebenfalls per Fernzugriff zu ermöglichen. Zudem erweist sich jene Modalität nur dann als sinnvoll, wenn die betroffene Person über die erforderliche technische Ausstattung verfügt (vgl. Ehmann in Ehmann/Selmayr führt hierzu im Kommentar zur Datenschutzgrundverordnung, Art. 15 DSGVO, Rz 69).Ehmann in Ehmann/Selmayr führt hierzu im Kommentar zur Datenschutzgrundverordnung, Artikel 15, DSGVO, Rz 69, aus, dass die Einrichtung eines Fernzugriffs für die betroffene Person (gegenständlich Beschwerdeführer) als jene Gestaltung anzusehen ist, welche dem Interesse der betroffenen Person am meisten entgegenkommt. Hieraus ergibt sich keine Verpflichtung vergleiche Bäcker in Kühling/Buchner Kommentar zur DSGVO,
  4. Auflage, Artikel 15, DSGVO, Rz 44d), dennoch wird dem Verantwortlichen die Möglichkeit der Einrichtung eines Fernzugriffs eingeräumt vergleiche Paal in Paal/Pauly Kommentar zur DSGVO,
  5. Auflage, Artikel 15, Rz 14). Auch geht aus den Leitlinien 01 aus 2022, zu den Rechten der betroffenen Person (Auskunftsrecht), Version 2.0, angenommen am
  6. März 2023, Rz 133 hervor, dass es unter bestimmten Umständen geeignet sein kann, eine Auskunft ebenfalls per Fernzugriff zu ermöglichen. Zudem erweist sich jene Modalität nur dann als sinnvoll, wenn die betroffene Person über die erforderliche technische Ausstattung verfügt vergleiche Ehmann in Ehmann/Selmayr führt hierzu im Kommentar zur Datenschutzgrundverordnung, Artikel 15, DSGVO, Rz 69). Im vorliegenden Fall ist als Zwischenergebnis festzuhalten, dass es sich beim Beschwerdeführer unstrittig um den Inhaber eines N***-Game-Console-Accounts, welcher über diesen Käufe vorgenommen hat, handelt. Das bedeutet, dass dieser über einen Zugang sowohl zum Internet als auch auf dessen Benutzerkonto bei der Beschwerdegegnerin verfügen muss, ansonsten es diesem nicht möglich gewesen wäre, die Käufe zu tätigen. Über den Nutzer-Account hat der Beschwerdeführer die Möglichkeit der Einsicht bzw. des Fernzugriffs, wodurch diesem die ihn betreffenden Transaktionsdaten angezeigt werden. Bis zum Ende des Ermittlungsverfahrens wurde von diesem nicht vorgebracht, dass die Transaktionsdaten dahingehend unvollständig sind, weil diese ihm nicht vollständig angezeigt werden würden. Aus den obigen Erwägungen ergibt sich des Weiteren, dass ein Fernzugriff als eine zulässige Modalität der Auskunftserteilung gewählt werden kann (vgl. Entscheidung des BVwG vom
  7. September 2020 zu GZ W101 2132039-1 bzw. VwGH vom
  8. September 2022 zu Ro 2020/04/0034).Über den Nutzer-Account hat der Beschwerdeführer die Möglichkeit der Einsicht bzw. des Fernzugriffs, wodurch diesem die ihn betreffenden Transaktionsdaten angezeigt werden. Bis zum Ende des Ermittlungsverfahrens wurde von diesem nicht vorgebracht, dass die Transaktionsdaten dahingehend unvollständig sind, weil diese ihm nicht vollständig angezeigt werden würden. Aus den obigen Erwägungen ergibt sich des Weiteren, dass ein Fernzugriff als eine zulässige Modalität der Auskunftserteilung gewählt werden kann vergleiche Entscheidung des BVwG vom
  9. September 2020 zu GZ W101 2132039-1 bzw. VwGH vom
  10. September 2022 zu Ro 2020/04/0034). Die Datenschutzbehörde übersieht hierbei nicht, dass das OLG Wien in seiner Entscheidung vom
  11. Februar 2025 zu GZ 16 R 161/24z ausgesprochen hat, dass die vorgebrachte Rechtsansicht des Bundesverwaltungsgerichts mittlerweile angesichts der Judikatur des EuGH vom
  12. Mai 2023 zu C-487/21 überholt sei, jedoch ist hierzu anzumerken, dass der Sachverhalt sich dort anders gestaltet hat. Die dortige beschwerdeführende Partei hat keinen Zugriff mehr auf deren Benutzerkonto gehabt, weil dieser bereits von der dortigen beschwerdegegnerischen Partei gelöscht worden ist. Eine Unvereinbarkeit erblickt die Datenschutzbehörde nicht, weil aus Erwägungsgrund 63 Satz 4 hervorgeht, dass nach Möglichkeit ein Fernzugang zu einem sicheren System bereitzustellen ist. Ein Fernzugriff ist durchaus als zulässige Erfüllungsmodalität des Art. 15 Abs 3 DSGVO für Art. 15 Abs. 1 DSGVO zu betrachten. Maßgeblich ist und bleibt, dass die begehrte Auskunft dem Beschwerdeführer vollständig erteilt wird. Es ist auch keine Judikatur des VwGH oder EuGH ersichtlich, welche einen Fernzugriff als Modalität verneinen würde. Art. 12 DSGVO verlangt eine leicht zugängliche und verständliche Kommunikation (vgl. Erwägungsgrund 58). Die Bereitstellung der Transaktionsdaten über einen Fernzugriff steht dem Transparenzgebot nach Art. 12 Abs. 1 DSGVO nicht entgegen, weil die (Transaktions-) Daten des Beschwerdeführers für diesen als Anwender bzw. Nutzer eines N***-Game-Console-Accounts leicht zugänglich und verständlich sind.Die dortige beschwerdeführende Partei hat keinen Zugriff mehr auf deren Benutzerkonto gehabt, weil dieser bereits von der dortigen beschwerdegegnerischen Partei gelöscht worden ist. Eine Unvereinbarkeit erblickt die Datenschutzbehörde nicht, weil aus Erwägungsgrund 63 Satz 4 hervorgeht, dass nach Möglichkeit ein Fernzugang zu einem sicheren System bereitzustellen ist. Ein Fernzugriff ist durchaus als zulässige Erfüllungsmodalität des Artikel 15, Absatz 3, DSGVO für Artikel 15, Absatz eins, DSGVO zu betrachten. Maßgeblich ist und bleibt, dass die begehrte Auskunft dem Beschwerdeführer vollständig erteilt wird. Es ist auch keine Judikatur des VwGH oder EuGH ersichtlich, welche einen Fernzugriff als Modalität verneinen würde. Artikel 12, DSGVO verlangt eine leicht zugängliche und verständliche Kommunikation vergleiche Erwägungsgrund 58). Die Bereitstellung der Transaktionsdaten über einen Fernzugriff steht dem Transparenzgebot nach Artikel 12, Absatz eins, DSGVO nicht entgegen, weil die (Transaktions-) Daten des Beschwerdeführers für diesen als Anwender bzw. Nutzer eines N***-Game-Console-Accounts leicht zugänglich und verständlich sind. Verfahrensgegenständlich erschließt sich für die Datenschutzbehörde nicht, weshalb im gegenständlichen Einzelfall die Bereitstellung der Transaktionsdaten in Form der Modalität eines Fernzugriffs unzulässig sein sollte. Vom Beschwerdeführer sind im Rahmen des erteilten abschließenden Parteiengehörs keine inhaltlichen Gründe vorgebracht worden, dass er in seinem Benutzer-Account die Transaktionen nicht abrufen habe können oder dass diese intransparent gestaltet gewesen wären. Somit war die Beschwerde des Beschwerdeführers im Hinblick auf die mangelhaft erteilte Auskunft betreffend die Transaktionsdaten abzuweisen. D.4.
  13. Zur verspäteten Auskunftserteilung betreffend die Transaktionsdaten Entgegen den Ausführungen des Beschwerdeführers kommt im gegenständlichen Fall keine Feststellung einer allfälligen Rechtsverletzung

Art. 15

DSGVO im Hinblick auf die Transaktionsdaten in Betracht, zumal weder das DSG noch die DSGVO in Bezug auf das Recht auf Auskunft die Feststellung vergangener Rechtsverletzungen vorsehen (vgl. auch VwGH

  1. März 2006, 2004/06/0125, wo die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber infolge der - wenn auch verspätet ergangenen - Mitteilung nicht mehr aktuellen Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint wurde; vgl. auch VwGH
  2. Oktober 2022, Ro 2022/04/0001, und VwGH
  3. März 2024, Ro 2021/04/0030-4 bis 0031-5). Schließlich hat der Verfassungsgerichtshof bereits zur Rechtslage vor dem DSG 2000, nämlich zum Recht auf Auskunft

§ 14Abs. 1 Datenschutzgesetz id

F BGBl Nr. 565/1978, ein Recht auf Feststellung vergangener und inzwischen behobener Rechtsverletzungen verneint (vgl. VfGH 26. Juni 1991, VfSgl. Nr. 12.768).Entgegen den Ausführungen des Beschwerdeführers kommt im gegenständlichen Fall keine Feststellung einer allfälligen Rechtsverletzung

Artikel 15

, DSGVO im Hinblick auf die Transaktionsdaten in Betracht, zumal weder das DSG noch die DSGVO in Bezug auf das Recht auf Auskunft die Feststellung vergangener Rechtsverletzungen vorsehen vergleiche auch VwGH

  1. März 2006, 2004/06/0125, wo die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber infolge der - wenn auch verspätet ergangenen - Mitteilung nicht mehr aktuellen Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint wurde; vergleiche auch VwGH
  2. Oktober 2022, Ro 2022/04/0001, und VwGH
  3. März 2024, Ro 2021/04/0030-4 bis 0031-5). Schließlich hat der Verfassungsgerichtshof bereits zur Rechtslage vor dem DSG 2000, nämlich zum Recht auf Auskunft

Paragraph 14, Absatz eins, Datenschutzgesetz in der Fassung Bundesgesetzblatt Nr. 565 aus 1978,, ein Recht auf Feststellung vergangener und inzwischen behobener Rechtsverletzungen verneint vergleiche VfGH 26. Juni 1991, VfSgl. Nr. 12.768). Im vorliegenden Fall ist zwar die Frist von einem Monat nicht eingehalten worden, die Beschwerdegegnerin hat jedoch während des laufenden Verfahrens auf die Möglichkeit hingewiesen, dass die Informationen betreffend die Transaktionsdaten im Nutzerkonto eingesehen werden können. Der Beschwerdeführer verfügt somit nunmehr über die begehrte Auskunft betreffend die Transaktionsdaten. Nochmals weist die Datenschutzbehörde darauf hin, dass auch während des laufenden Verfahrens die Beschwerdegegnerin die Möglichkeit der nachträglichen Beseitigung

§ 24Abs.

6 DSG gehabt hätte und hierdurch die Beschwer wegen der nachgeholten Auskunft weggefallen wäre. Einer betroffenen Person kommt daher gegenständlich kein subjektives öffentliches Recht auf Feststellung zu, weil die Verletzung des Auskunftsrechts bis zum Abschluss des Verfahrens bereits behoben war (vgl. Erkenntnis des BVwG vom

  1. März 2021 zu GZ W258 2226632-1 bzw. Erkenntnis des BVwG vom
  2. April 2025 zu GZ W605 2283487-1/20E bzw. vgl. Thiele/Wagner im Praxiskommentar zum DSG,
  3. Auflage, § 24 DSG, Rz 327). Somit ist eine Feststellung, wonach die gegenständliche Auskunft verspätet - d.h. außerhalb der von Art. 12 Abs. 3 DSGVO vorgesehenen Frist - erteilt wurde, einer stattgebenden bescheidmäßigen Absprache nicht zugänglich.Nochmals weist die Datenschutzbehörde darauf hin, dass auch während des laufenden Verfahrens die Beschwerdegegnerin die Möglichkeit der nachträglichen Beseitigung

Paragraph 24, Absatz 6, DSG gehabt hätte und hierdurch die Beschwer wegen der nachgeholten Auskunft weggefallen wäre. Einer betroffenen Person kommt daher gegenständlich kein subjektives öffentliches Recht auf Feststellung zu, weil die Verletzung des Auskunftsrechts bis zum Abschluss des Verfahrens bereits behoben war vergleiche Erkenntnis des BVwG vom

  1. März 2021 zu GZ W258 2226632-1 bzw. Erkenntnis des BVwG vom
  2. April 2025 zu GZ W605 2283487-1/20E bzw. vergleiche Thiele/Wagner im Praxiskommentar zum DSG,
  3. Auflage, Paragraph 24, DSG, Rz 327). Somit ist eine Feststellung, wonach die gegenständliche Auskunft verspätet - d.h. außerhalb der von Artikel 12, Absatz 3, DSGVO vorgesehenen Frist - erteilt wurde, einer stattgebenden bescheidmäßigen Absprache nicht zugänglich. Die Datenschutzbehörde vertritt in ständiger Spruchpraxis die Rechtsansicht, dass aus Art. 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung subjektiver Rechte - nötigenfalls mittels behördlichem Leistungsauftrag - zu ermöglichen. Ein Recht auf Feststellung, dass die Auskunft zu spät erteilt worden ist, kann dieser Bestimmung jedoch nicht entnommen werden (vgl. dazu zur insoweit vergleichbaren Rechtslage nach dem DSG 2000 das Erkenntnis des Verwaltungsgerichtshofes vom
  4. September 2007, Zl. 2006/06/0330, mwN sowie den Bescheid der Datenschutzbehörde, GZ: DSB-D123.223/0007-DSB/2018). Diese Spruchpraxis wurde bereits - wie oben bereits dargelegt - durch den Verwaltungsgerichtshof bestätigt (vgl. VwGH
  5. März 2024, Ro 2021/04/0027).Die Datenschutzbehörde vertritt in ständiger Spruchpraxis die Rechtsansicht, dass aus Artikel 77, DSGVO in Verbindung mit Paragraph 24, DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung subjektiver Rechte - nötigenfalls mittels behördlichem Leistungsauftrag - zu ermöglichen. Ein Recht auf Feststellung, dass die Auskunft zu spät erteilt worden ist, kann dieser Bestimmung jedoch nicht entnommen werden vergleiche dazu zur insoweit vergleichbaren Rechtslage nach dem DSG 2000 das Erkenntnis des Verwaltungsgerichtshofes vom
  6. September 2007, Zl. 2006/06/0330, mwN sowie den Bescheid der Datenschutzbehörde, GZ: DSB-D123.223/0007-DSB/2018). Diese Spruchpraxis wurde bereits - wie oben bereits dargelegt - durch den Verwaltungsgerichtshof bestätigt vergleiche VwGH
  7. März 2024, Ro 2021/04/0027). Da die Beschwerdegegnerin die Auskunft betreffend die Transaktionsdaten somit bereits während des Verfahrens vollständig erteilt hat, ist die Beschwerde daher dahingehend abzuweisen. D.4.
  8. Zur Ausdehnung des Auskunftsbegehrens Es wird von der Datenschutzbehörde nicht verkannt, dass die ursprüngliche Beschwerde vom
  9. August 2024 bzw. der zugrunde liegende Auskunftsantrag vom
  10. Februar 2024 auf die Beauskunftung der Transaktionsdaten gerichtet war, wie dies auch von der Beschwerdegegnerin in ihrer Stellungahme vom
  11. November 2024 richtig ausgeführt wurde. Mit der Stellungahme vom
  12. Jänner 2025 im Rahmen des dem Beschwerdeführer erteilten Parteiengehörs hat dieser jedoch sein Auskunftsbegehren

Art. 15

DSGVO auf sämtliche personenbezogene Daten

Art 4

Z 1 DSGVO, somit auch auf jene, welche im Nutzeraccount nicht ersichtlich sind, ausgedehnt.Mit der Stellungahme vom 27. Jänner 2025 im Rahmen des dem Beschwerdeführer erteilten Parteiengehörs hat dieser jedoch sein Auskunftsbegehren

Artikel 15

, DSGVO auf sämtliche personenbezogene Daten

Artikel 4

, Ziffer eins, DSGVO, somit auch auf jene, welche im Nutzeraccount nicht ersichtlich sind, ausgedehnt. Art. 15 DSGVO begründet nach der Rechtsprechung des EuGH einen einheitlichen Auskunftsanspruch über verarbeitete Daten und bestimmte Metadaten der Datenverarbeitung (vgl. EuGH vom

  1. Mai 2023 zu C-487/21). Der Verantwortliche muss der betroffenen Person in jedem Fall mitteilen, ob dieser sie betreffende personenbezogene Daten verarbeitet.Artikel 15, DSGVO begründet nach der Rechtsprechung des EuGH einen einheitlichen Auskunftsanspruch über verarbeitete Daten und bestimmte Metadaten der Datenverarbeitung vergleiche EuGH vom
  2. Mai 2023 zu C-487/21). Der Verantwortliche muss der betroffenen Person in jedem Fall mitteilen, ob dieser sie betreffende personenbezogene Daten verarbeitet. Unstrittig verarbeitet im gegenständlichen Fall die Beschwerdegegnerin personenbezogene Daten des Beschwerdeführers, welche über die Transaktionsdaten hinausgehen (vgl. Punkt 2 der Stellungnahme vom
  3. November 2024 der Beschwerdegegnerin).Unstrittig verarbeitet im gegenständlichen Fall die Beschwerdegegnerin personenbezogene Daten des Beschwerdeführers, welche über die Transaktionsdaten hinausgehen vergleiche Punkt 2 der Stellungnahme vom
  4. November 2024 der Beschwerdegegnerin). Die Datenschutzbehörde stimmt der Beschwerdegegnerin dahingehend zu, dass diese keine Daten zu beauskunften hat, über welche diese zum Zeitpunkt des Auskunftsantrages nicht verfügt (vgl. EuGH vom
  5. Mai 2023 zu C-487/21, Rn 49ff.). Die Beschwerdegegnerin ist ebenso nicht verpflichtet, dem Beschwerdeführer Daten offenzulegen, welche von dieser nicht verarbeitet werden, sondern von anderen Verantwortlichen

Art. 4Z 7 DSGVO (bspw.

der W*** Games Inc.). Hinsichtlich jener im Benutzer-Account ausgewiesenen Daten (insbesondere die Transaktionsdaten) wurde - wie unter Punkt D.4.

  1. der rechtlichen Beurteilung erläutert - die Auskunft erteilt.Die Datenschutzbehörde stimmt der Beschwerdegegnerin dahingehend zu, dass diese keine Daten zu beauskunften hat, über welche diese zum Zeitpunkt des Auskunftsantrages nicht verfügt vergleiche EuGH vom
  2. Mai 2023 zu C-487/21, Rn 49ff.). Die Beschwerdegegnerin ist ebenso nicht verpflichtet, dem Beschwerdeführer Daten offenzulegen, welche von dieser nicht verarbeitet werden, sondern von anderen Verantwortlichen

Artikel 4, Ziffer 7, DSGVO (bspw.

der W*** Games Inc.). Hinsichtlich jener im Benutzer-Account ausgewiesenen Daten (insbesondere die Transaktionsdaten) wurde - wie unter Punkt D.4.2. der rechtlichen Beurteilung erläutert - die Auskunft erteilt. Im Hinblick auf die noch nicht erteilten Auskünfte führt die Datenschutzbehörde insbesondere im Lichte der obigen Judikatur wie folgt aus: Der Beschwerdeführer hat

Art. 15

DSGVO den rechtlichen Anspruch darauf, dass diesem beauskunftet wird, welche seiner personenbezogenen Daten verarbeitet werden und zusätzlich hat dieser

Abs. 1 und Abs. 2 den Anspruch auf bestimmte Metainformationen, welche ebenfalls vom Auskunftsanspruch gleichermaßen umfasst sind.Der Beschwerdeführer hat

Artikel 15

, DSGVO den rechtlichen Anspruch darauf, dass diesem beauskunftet wird, welche seiner personenbezogenen Daten verarbeitet werden und zusätzlich hat dieser

Absatz eins und Absatz 2, den Anspruch auf bestimmte Metainformationen, welche ebenfalls vom Auskunftsanspruch gleichermaßen umfasst sind. Gegenständlich wird nicht verkannt - wie bereits mehrfach ausgeführt - dass die ursprüngliche Beschwerde sowie der Antrag auf Auskunft auf die Transaktionsdaten beschränkt gewesen ist und jene Auskunft spätestens während des laufenden Verfahrens vor der Datenschutzbehörde erteilt worden ist (vgl. 4.

  1. der rechtlichen Beurteilung) und die Beschwerde daher diesbezüglich abzuweisen war.Gegenständlich wird nicht verkannt - wie bereits mehrfach ausgeführt - dass die ursprüngliche Beschwerde sowie der Antrag auf Auskunft auf die Transaktionsdaten beschränkt gewesen ist und jene Auskunft spätestens während des laufenden Verfahrens vor der Datenschutzbehörde erteilt worden ist vergleiche 4.
  2. der rechtlichen Beurteilung) und die Beschwerde daher diesbezüglich abzuweisen war. Auch hält die Datenschutzbehörde nochmals fest, dass es grundsätzlich möglich ist, eine Auskunft

Art. 15DSGVO über einen Fernzugriff der betroffenen Person zu erteilen.

Voraussetzung hierfür ist jedoch, dass der elektronische Fernzugriff derart ausgestaltet ist, dass die Auskünfte

Art. 15Abs.

1 und Abs 2 auch der betroffenen Person vollständig erteilt werden können. Die Beschwerdegegnerin hat darüber hinaus selbst eingeräumt, dass diese über den Benutzer-Account hinausgehende personenbezogene Daten des Beschwerdeführers verarbeitet (vgl. Punkt 2 der Stellungahme vom 29. November 2024 der Beschwerdegegnerin). Auch hält die Datenschutzbehörde nochmals fest, dass es grundsätzlich möglich ist, eine Auskunft

Artikel 15, DSGVO über einen Fernzugriff der betroffenen Person zu erteilen.

Voraussetzung hierfür ist jedoch, dass der elektronische Fernzugriff derart ausgestaltet ist, dass die Auskünfte

Artikel 15

, Absatz eins und Absatz 2, auch der betroffenen Person vollständig erteilt werden können. Die Beschwerdegegnerin hat darüber hinaus selbst eingeräumt, dass diese über den Benutzer-Account hinausgehende personenbezogene Daten des Beschwerdeführers verarbeitet vergleiche Punkt 2 der Stellungahme vom

  1. November 2024 der Beschwerdegegnerin). In der Stellungnahme vom
  2. September 2024 wird von der Beschwerdegegnerin unter Verweis auf die übermittelte Beilage mit der Bezeichnung Beilage 11 vorgebracht, dass diese bereits im Vorfeld der Beschwerde über die personenbezogenen Daten des Beschwerdeführers eine Auskunft

Art. 15Abs.

1 DSGVO (vgl. Punkt 5.

  1. der Stellungnahme vom
  2. September 2024 der Beschwerdegegnerin) erteilt hat. Die Beilage 11 beinhaltet jedoch nur die E-Mail vom
  3. März 2024 von der Beschwerdegegnerin an den Beschwerdeführer und Beilage 11a enthält lediglich eine allgemeine, nicht auf den Beschwerdeführer individualisierte Datenschutzerklärung. Die übermittelten bzw. zur Verfügung gestellten Datenschutzrichtlinien stellen keine personalisierte Information für den Beschwerdeführer dar und enthalten daher auch denklogisch nicht die konkreten zu den ihn betreffenden Verarbeitungsprozessen individualisierten Informationen. Eine vollständige Auskunft

Art. 15Abs.

1 DSGVO ist dem Beschwerdeführer hierdurch nicht erteilt worden.In der Stellungnahme vom 20. September 2024 wird von der Beschwerdegegnerin unter Verweis auf die übermittelte Beilage mit der Bezeichnung Beilage 11 vorgebracht, dass diese bereits im Vorfeld der Beschwerde über die personenbezogenen Daten des Beschwerdeführers eine Auskunft

Artikel 15, Absatz eins, DSGVO vergleiche Punkt 5.1.

der Stellungnahme vom

  1. September 2024 der Beschwerdegegnerin) erteilt hat. Die Beilage 11 beinhaltet jedoch nur die E-Mail vom
  2. März 2024 von der Beschwerdegegnerin an den Beschwerdeführer und Beilage 11a enthält lediglich eine allgemeine, nicht auf den Beschwerdeführer individualisierte Datenschutzerklärung. Die übermittelten bzw. zur Verfügung gestellten Datenschutzrichtlinien stellen keine personalisierte Information für den Beschwerdeführer dar und enthalten daher auch denklogisch nicht die konkreten zu den ihn betreffenden Verarbeitungsprozessen individualisierten Informationen. Eine vollständige Auskunft

Artikel 15, Absatz eins, DSGVO ist dem Beschwerdeführer hierdurch nicht erteilt worden.

Im gegenständlichen Einzelfall geht somit weder aus dem N***-Game-Console-Account des Beschwerdeführers noch aus der Beantwortung des Auskunftsantrages vom 13. Februar 2024 oder aus den Stellungnahmen während des laufenden Verfahrens vor der Datenschutzbehörde die vollständige Auskunft

Art. 15Abs.

1 und Abs 2 DSGVO hervor.Im gegenständlichen Einzelfall geht somit weder aus dem N***-Game-Console-Account des Beschwerdeführers noch aus der Beantwortung des Auskunftsantrages vom 13. Februar 2024 oder aus den Stellungnahmen während des laufenden Verfahrens vor der Datenschutzbehörde die vollständige Auskunft

Artikel 15, Absatz eins und Absatz 2, DSGVO hervor.

Nach der Judikatur des Bundesverwaltungsgerichts müssen die an die antragstellende Person ergehenden Informationen

Art. 15Abs.

1 lit. a DSGVO die konkreten Zwecke beinhalten. Es reicht daher nicht aus, die allgemeinen Zwecke der Verantwortlichen anzuführen, ohne klarzustellen, welche Zwecke diese im Fall der antragstellenden Person verfolgt. Erfolgt die Verarbeitung zu mehreren Zwecken muss die Verantwortliche klarstellen, welche Datenkategorien für welche Zwecke verarbeitet werden (vgl. BVwG vom 28. Mai 2025, W108 2230691-1/53E bzw. Bäcker in Kühling/Buchner zu Art. 15, Rz 12 und Rz 13).Nach der Judikatur des Bundesverwaltungsgerichts müssen die an die antragstellende Person ergehenden Informationen

Artikel 15, Absatz eins, Litera a, DSGVO die konkreten Zwecke beinhalten.

Es reicht daher nicht aus, die allgemeinen Zwecke der Verantwortlichen anzuführen, ohne klarzustellen, welche Zwecke diese im Fall der antragstellenden Person verfolgt. Erfolgt die Verarbeitung zu mehreren Zwecken muss die Verantwortliche klarstellen, welche Datenkategorien für welche Zwecke verarbeitet werden vergleiche BVwG vom 28. Mai 2025, W108 2230691-1/53E bzw. Bäcker in Kühling/Buchner zu Artikel 15,, Rz 12 und Rz 13). Die Beschwerdegegnerin ist verpflichtet, dem Beschwerdeführer eine vollständige Auskunft

  1. i)über die Zwecke der Verarbeitung (vgl. Art. 15 Abs. 1 lit. a DSGVO),
  2. ii)über alle vorhandenen Datenkategorien (vgl. Art. 15 Abs. 1 lit. b DSGVO) und iii) über alle Empfänger zu erteilen sowie zu beauskunften, welche personenbezogenen Daten des Beschwerdeführers an diese übermittelt worden sind (vgl. Art. 15 Abs. 1 lit. c DSGVO bzw. EuGH vom 12. Jänner 2023 zu C-154/21, Rn. 42),
  3. iv)die Dauer der Datenspeicherung (vgl. Art. 15 Abs. 1 lit. d DSGVO),
  4. v)die Herkunft der Daten des Beschwerdeführers, soweit diese nicht von diesem erhoben worden sind (vgl. Art. 15 Abs. 1 lit. g DSGVO),
  5. vi)ob eine automatisierte Entscheidungsfindung und Profiling

Art. 22Abs.

1 und Abs 4 DSGVO besteht und in jenen Fällen eine aussagekräftige Information über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung dem Beschwerdeführer zu geben sowie vii) abschließend, falls die personenbezogenen Daten an ein Drittland oder an eine internationale Organisation übermittelt worden sind, diesen über die geeigneten Garantien

Art. 46im Zusammenhang mit der Übermittlung zu unterrichten (vgl.

Art. 15 Abs. 2 DSGVO).Die Beschwerdegegnerin ist verpflichtet, dem Beschwerdeführer eine vollständige Auskunft

  1. i)über die Zwecke der Verarbeitung vergleiche Artikel 15, Absatz eins, Litera a, DSGVO),
  2. ii)über alle vorhandenen Datenkategorien vergleiche Artikel 15, Absatz eins, Litera b, DSGVO) und iii) über alle Empfänger zu erteilen sowie zu beauskunften, welche personenbezogenen Daten des Beschwerdeführers an diese übermittelt worden sind vergleiche Artikel 15, Absatz eins, Litera c, DSGVO bzw. EuGH vom 12. Jänner 2023 zu C-154/21, Rn. 42),
  3. iv)die Dauer der Datenspeicherung vergleiche Artikel 15, Absatz eins, Litera d, DSGVO),
  4. v)die Herkunft der Daten des Beschwerdeführers, soweit diese nicht von diesem erhoben worden sind vergleiche Artikel 15, Absatz eins, Litera g, DSGVO),
  5. vi)ob eine automatisierte Entscheidungsfindung und Profiling

Artikel 22

, Absatz eins und Absatz 4, DSGVO besteht und in jenen Fällen eine aussagekräftige Information über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung dem Beschwerdeführer zu geben sowie vii) abschließend, falls die personenbezogenen Daten an ein Drittland oder an eine internationale Organisation übermittelt worden sind, diesen über die geeigneten Garantien

Artikel 46

, im Zusammenhang mit der Übermittlung zu unterrichten vergleiche Artikel 15, Absatz 2, DSGVO). Die im N***-Game-Console-Konto bereitgestellten Metadaten sind nicht derart ausgestaltet, dass sie die von Art. 15 Abs. 1 lit. a bis h DSGVO - abgesehen von lit. e und lit. f (siehe unten) - geforderten Zusatzinformationen vollständig wiedergeben.Die im N***-Game-Console-Konto bereitgestellten Metadaten sind nicht derart ausgestaltet, dass sie die von Artikel 15, Absatz eins, Litera a, bis h DSGVO - abgesehen von Litera e und Litera f, (siehe unten) - geforderten Zusatzinformationen vollständig wiedergeben. Die bislang erteilte Auskunft über den Fernzugang der Beschwerdegegnerin ist in den oben genannten Punkten als mangelhaft anzusehen. Dem Beschwerdeführer sind die Auskünfte, dass dieser zum einen über Betroffenenrechte, zum anderen über ein Beschwerderecht bei der örtlich zuständigen Aufsichtsbehörde verfügt, mittels der Beantwortung des Auskunftsantrages vom

  1. Februar 2024 bzw. der darin übermittelten Datenschutzrichtlinie erteilt worden. Demnach war eine Verletzung im Recht auf Auskunft betreffend Art. 15 Abs. 1 lit. e und f DSGVO nicht erkennbar.Dem Beschwerdeführer sind die Auskünfte, dass dieser zum einen über Betroffenenrechte, zum anderen über ein Beschwerderecht bei der örtlich zuständigen Aufsichtsbehörde verfügt, mittels der Beantwortung des Auskunftsantrages vom
  2. Februar 2024 bzw. der darin übermittelten Datenschutzrichtlinie erteilt worden. Demnach war eine Verletzung im Recht auf Auskunft betreffend Artikel 15, Absatz eins, Litera e, und f DSGVO nicht erkennbar. Im Ergebnis war daher die erteilte Auskunft der Beschwerdegegnerin hinsichtlich der nicht über das Benutzerkonto des Beschwerdeführers abrufbaren, ihn betreffenden personenbezogenen Daten sowie

Art. 15Abs.

1 lit. a, lit. b, lit. c, lit. d, lit. g und Abs. 2 DSGVO als mangelhaft anzusehen und somit unrechtmäßig, weshalb der Beschwerde in jenen Punkten spruchgemäß stattzugeben war.Im Ergebnis war daher die erteilte Auskunft der Beschwerdegegnerin hinsichtlich der nicht über das Benutzerkonto des Beschwerdeführers abrufbaren, ihn betreffenden personenbezogenen Daten sowie

Artikel 15

, Absatz eins, Litera a,, Litera b,, Litera c,, Litera d,, Litera g und Absatz 2, DSGVO als mangelhaft anzusehen und somit unrechtmäßig, weshalb der Beschwerde in jenen Punkten spruchgemäß stattzugeben war. D.5. Zum Leistungsauftrag Der Leistungsauftrag stützt sich auf Art. 58 Abs. 2 lit. c DSGVO und ist erforderlich, um dem vertretenen Beschwerdeführer die ungehinderte Ausübung seiner Rechte zu ermöglichen.Der Leistungsauftrag stützt sich auf Artikel 58, Absatz 2, Litera c, DSGVO und ist erforderlich, um dem vertretenen Beschwerdeführer die ungehinderte Ausübung seiner Rechte zu ermöglichen. Eine Frist von vier Wochen erscheint angemessen, um den Leistungsauftrag zu erfüllen. Die Modalitäten der Erfüllung obliegen der Beschwerdegegnerin im Rahmen der Bestimmungen in Art. 12 und Art. 15 Abs. 4 DSGVO, sodass die erteilte Auskunft

Art. 15DSGVO leicht und verständlich ist und nicht die Rechte und Freiheiten Dritter beeinträchtigt (vgl. Eu

GH 04. Mai 2023, C-487/21, Österreichische Datenschutzbehörde, Rz 44). Die Modalitäten der Erfüllung obliegen der Beschwerdegegnerin im Rahmen der Bestimmungen in Artikel 12 und Artikel 15, Absatz 4, DSGVO, sodass die erteilte Auskunft

Artikel 15, DSGVO leicht und verständlich ist und nicht die Rechte und Freiheiten Dritter beeinträchtigt vergleiche Eu

GH 04. Mai 2023, C-487/21, Österreichische Datenschutzbehörde, Rz 44). Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.119.280

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.